eMudhra unieważnia 8 kolejnych urzędów certyfikacji, które wcześniej uznała za bezpieczne

eMudhra pod koniec zeszłego tygodnia unieważniła 8 kolejnych pośrednich urzędów certyfikacji (CA). Jeszcze 19 października firma nazywała je niezagrożonymi. Ich klucze nie zostały osłabione. Ten sam wewnętrzny skrypt w Pythonie pobrał jednak klucze RSA tych CA z modułów HSM, a firma nie potrafi wykazać, że obchodzono się z nimi zgodnie z jej własnymi zasadami. Przy październikowym incydencie jedna linia skryptu skróciła klucze 8 innych CA do jednego bajta. Według raportu opublikowanego w systemie zgłoszeń Mozilli oba problemy zaczęły się na ceremonii kluczy 30 kwietnia 2025 r. Wygenerowano wtedy na HSM Utimaco 16 kluczy CA, które miały trafić na HSM Crypto4A w ośrodkach firmy w USA i UE.

Kogo dotyczy

Z 8 unieważnionych CA sześć wystawiało certyfikaty stron (TLS), a dwa certyfikaty do podpisu kodu. Cztery z nich działały produkcyjnie od maja. Lista firmy obejmuje 195 certyfikatów wydanych przez te CA, w tym 29 dla domen samej eMudhra.